阿里云 OSS 配置教程：Endpoint 填法、权限与自定义域名

照着这篇配置完，你就能把 Clara BBS 的图片和附件搬到阿里云 OSS 上，并让它们通过自己的域名正常访问。

第一步：先把 OSS 这边的家底准备好

登录阿里云控制台，进「对象存储 OSS」→ 创建 Bucket。三个地方要留意：

• 地域：选离你服务器近的，比如服务器在杭州就选华东1（杭州）。
• 读写权限：建议选私有，让程序用 AK 签名访问（Clara BBS 的云存储走服务端上传，不依赖前端直传）；确实需要公开直链再考虑「公共读」。
• 不开公共读写：公共读写等于谁都能往你桶里塞文件，流量账单会很难看。

然后是密钥。不要用主账号 AccessKey，去 RAM 访问控制里新建一个子用户，只授予 `AliyunOSSFullAccess`（或自定义只含目标 Bucket 的策略），拿到 AccessKey ID 和 AccessKey Secret。

注意：主账号 AK 一旦泄露等于整个阿里云账号失守，子账号 AK 可以随时禁用、轮换，代价小得多。

第二步：Endpoint 到底填什么

Endpoint 就是 OSS 的访问入口地址，不带 Bucket 名，格式固定：

oss-cn-hangzhou.aliyuncs.com

在 OSS 控制台进入 Bucket 的「概览」页，右侧「访问端口」一栏能看到外网访问的 Endpoint，直接复制即可。内地常见地域后缀是 `oss-cn-` 加城市拼音，如 `oss-cn-beijing`、`oss-cn-shenzhen`。

填进后台时加上协议头更稳妥：

https://oss-cn-hangzhou.aliyuncs.com

入口位置：后台「系统设置 → 云存储」，选择驱动为阿里云 OSS，依次填 AccessKey ID、AccessKey Secret、Bucket 名称、Endpoint、自定义域名，保存。

注意三个高频错：

① 把 `mybucket.oss-cn-hangzhou.aliyuncs.com` 整条填进去，程序再拼一次 Bucket 名，地址就变成 `mybucket.mybucket.oss...`，图片必然 404。Endpoint 只填到 `aliyuncs.com` 为止。

② 用了内网 Endpoint（形如 `oss-cn-hangzhou-internal.aliyuncs.com`），它只有同地域的 ECS 能访问。如果你的站不在阿里云杭州机器上，换成外网 Endpoint。

③ 漏了 `https://`，浏览器把域名当相对路径解析。

第三步：把权限收口

权限分两层看：

Bucket 层：保持私有，或公共读但配合 Referer 防盗链（控制台「数据安全 → 防盗链」，填你自己的域名，勾选「不允许空 Referer」）。

RAM 层：给子账号的策略里，`Resource` 精确写到 `acs:oss:::mybucket/`，别用 ``。

如果后续要在浏览器里直传或让编辑器预览，还要配跨域。控制台「数据安全 → 跨域设置 → 创建规则」：来源填 `https://你的域名`，方法勾 GET/POST/PUT/HEAD，Allowed Headers 填 `*`，暴露 Headers 勾 ETag。

注意：跨域没配时，典型症状是上传接口返回 200 但前端报 CORS 错误、图片预览裂图。改完规则一般几十秒生效。

第四步：自定义域名

想让图片地址是 `https://img.你的域名.com/xxx.jpg`，操作两步：

1. 绑域名：OSS 控制台「传输管理 → 域名管理 → 绑定自定义域名」，填 `img.你的域名.com`，开启 HTTPS 的话上传证书。
2. 做解析：去 DNS 服务商加一条 CNAME，记录值填该 Bucket 外网 Endpoint（控制台会直接提示）。

然后把 `https://img.你的域名.com` 填进后台「云存储」的自定义域名一栏并保存。

注意：国内节点绑定自定义域名，域名必须已完成 ICP 备案，否则控制台不给通过；另外新绑定域名首次访问可能要几分钟解析生效。

第五步：验证一遍

传一张测试图到帖子里，右键复制图片地址，确认三点：域名是你的自定义域名、直接打开能显示、HTTPS 无警告。再回 OSS 控制台看 Bucket 里确实多了对应文件，说明闭环没问题。

如果图片打不开，按这个顺序查：Bucket 权限 → 自定义域名解析 → 防盗链是否拦了空 Referer。

小结

• Endpoint 只填 `oss-cn-城市.aliyuncs.com`，不带头、不带 Bucket 名，非阿里云内网机器必须用外网地址。
• 密钥用 RAM 子账号，权限精确到单个 Bucket，别用主账号 AK。
• Bucket 默认私有读写，公开访问要么走签名要么配防盗链。
• 自定义域名 = OSS 绑定域名 + DNS 加 CNAME，国内节点必须已备案。
• 填完在后台「系统设置 → 云存储」保存，传张图实测一遍再收工。